Django-демо Mistral Large 4 с 133 агентами: воспроизведён баг, который Django уже исправил

Mistral Large 4 — модель с открытыми весами и 1,05 трлн параметров, которую Mistral AI прозвала Le Chonk, — была представлена 4 ноября 2026 года как исследователь безопасности полного цикла. В публикации из официального аккаунта Mistral в X спрашивалось, сможет ли модель «найти критическую уязвимость, доказать её и исправить её», а затем в ответ были показаны 133 агента, кодовая база Django и 90-кратный таймлапс. В публикации не указана ни одна CVE. В ней не опубликован патч. В ней не приводятся ни время выполнения, ни количество токенов, ни число ложноположительных срабатываний, ни ссылка на технический отчёт.

Время сужает круг. Команда безопасности Django выпустила исправления для шести CVE накануне, 3 ноября 2026 года, в версиях 6.1.3, 6.0.10 и 5.2.19 (для одной проблемы патч для 5.2 не указан). Если целью была эта партия — а это единственная партия CVE Django в новостях на той неделе — демонстрация не могла обнаружить неизвестную уязвимость, поскольку все шесть были публично известны и исправлены до публикации видео. Это также не была критическая уязвимость. Одна имела умеренный рейтинг; остальные пять были оценены как низкие.

Это не делает демонстрацию бесполезной. Это делает её демонстрацией рабочего процесса, а не заявкой на открытие, и это различие важно для всех, кто решает, может ли модель с открытыми весами занять место в очереди триажа команды безопасности.

Что на самом деле показала Mistral

Пост короткий: «Сможет ли Mistral Large 4 найти критическую уязвимость, доказать её и исправить? Мы проверили это на недавней CVE в Django. 133 агента составляют карту кода, ищут изъяны, тестируют сценарии атак и подтверждают баг. Затем Le Chonk выпускает патч. Триаж, воспроизведение, патч. Показано на скорости 90x». На момент написания у него было 540 лайков, 94 репоста, 107 ответов и около 21 000 просмотров — достойный пост о продукте, а не раскрытие уязвимости.

В собственных примечаниях к выпуску Mistral этот же рабочий процесс описан подробнее. В анонсе модели с открытыми весами упоминается агент «Cyber Vulnerability Triage», который читает поступающие отчёты об уязвимостях, воспроизводит дефекты в изолированной песочнице, пишет патч и дорабатывает его, продолжая «пока канареечный эксплойт не перестанет срабатывать». Это задокументированная функция модели, написанная до появления видео. Запуск 133 агентов — её публичная демонстрация.

Показатель 90× — это скорость воспроизведения, а не результат. Без продолжительности исходного видео или фактического времени выполнения запуска его нельзя преобразовать в длительность. 90×-таймлапс двухчасового запуска и 90×-таймлапс двухдневного запуска выглядят на таймлайне одинаково.

Партия Django и почему «критический» не подходит

Уведомление Django от 3 ноября необычно конкретно — именно поэтому оно полезно в качестве контрольного примера. В нём перечислены шесть проблем, каждая с CVE, указанием сообщившего, набором затронутых веток и коммитом с исправлением. Уровни серьёзности далеки от критических:

• CVE-2026-111362 — средний уровень. Элемент crs геометрии GeoJSON мог заставить GDAL выполнять сетевые запросы или читать локальные файлы во время проверки, сохранения или выполнения запросов: путь для SSRF и чтения локальных файлов.

• CVE-2026-108147 — низкий уровень. Multipart-загрузки в кодировке Base64 буферизовались до запуска обработчиков загрузки, что обходило FILE_UPLOAD_MAX_MEMORY_SIZE и создавало риск исчерпания памяти.

• CVE-2026-111211 — низкий. Управляющие символы в недопустимых значениях формы геометрии записывались в журнал без экранирования, что позволяло осуществлять инъекцию или подделку записей журнала.

• CVE-2026-113593 — низкий. Отсутствующие и пустые значения заголовка Vary давали один и тот же ключ кэша, что создавало риск раскрытия приватных кэшированных ответов.

• CVE-2026-113733 — низкий. {{1}}Администраторы с доступом только для просмотра{{/1}} могли видеть полные хеши паролей для некоторых кастомных моделей пользователей.

• CVE-2026-114582 — низкий. Ввод строки SpatialReference может инициировать загрузку URL-адресов или чтение файлов средствами GDAL; для полной защиты требуется GDAL 3.9 или более поздняя версия.

Все шесть были исправлены в тот же день. Это обычный процесс Django: уведомление, патчи и записи CVE публикуются вместе. Модель, которая «подтверждает ошибку» днём позже, подтверждает ошибку, исправление которой уже есть в репозитории, а шаги воспроизведения — в публичном отчёте. Воспроизведение заявленной ошибки — первая задача очереди триажа, так что это настоящая работа — но это не то же самое, что найти её.

Mistral не назвала CVE, поэтому утверждение нельзя проверить по конкретному бюллетеню. Если цель находилась за пределами ноябрьского пакета, в посте нет способа идентифицировать её, датировать или сравнить сгенерированный патч с исправлением в upstream. Сам патч не был опубликован.

133 агента — это номер оркестрации.

Количество агентов — это выбор дизайна, а не оценка. Пайплайн может использовать 133 агента, потому что он разветвляется по одному на файл, по одному на гипотезу или по одному на путь атаки; ту же работу можно выполнить пятью агентами и большим числом ходов. От количества меняются стоимость, задержка и число независимых попыток — но не возможности модели в расчёте на токен.

Метрики, которые придали бы этому числу смысл, как раз отсутствуют: сколько потенциальных дефектов было выдвинуто, сколько из них оказались ложноположительными, сколько агентов требовалось на каждый подтверждённый баг и сколько токенов стоил запуск. Система, которая выдвигает 200 кандидатов, чтобы подтвердить один реальный баг, — это не тот же продукт, что система, выдвигающая три и подтверждающая один, и обе можно честно описать как «133 агента».

Опубликованное описание Mistral предполагает узкий, проверяемый цикл, а не открытое исследование: воспроизвести в песочнице, итеративно дорабатывать патч, остановиться, когда канареечный эксплойт перестаёт срабатывать. Именно этот цикл и демонстрирует демо на Django. Это хороший цикл. Это также тот цикл, который прогоняет человек-триажер с отладчиком и набором тестов.

Показатели безопасности, которые Mistral всё же публикует

В публикации Mistral об открытых весах Mistral Large 4 получает 51% в Artificial Analysis Cyber Index — на диаграмме, подготовленной производителем, где MiMo-V2.6-Pro указан с 56%, DeepSeek-V4.1-Flash 1017 — с 57%, Kimi K3 — с 41%, а GLM-5.3 — с 36%. Индекс проверяет, способна ли модель находить уязвимости в кодовой базе, воспроизводить и подтверждать их, а также исправлять их — те же три глагола, что и в демонстрации.

В том же посте сообщается о среднем показателе отказов 96,6% на вредоносные киберзапросы, который Mistral называет самым высоким из тех, что она измеряет среди открытых моделей, и об устойчивости к атакам 97,1% в бенчмарке безопасности агентов B3 — по сравнению с 93,3% в предварительной версии. На октябрьской странице предварительного просмотра также указывались результат 82% в собственном тесте Mistral на воспроизведение и исправление уязвимостей и 93% из 40 задач Cybench; в посте об открытых весах ни один из этих показателей не повторяется.

Все эти данные приведены со слов поставщиков. Ничто из этого не было независимо воспроизведено, а график Cyber Index — это визуализация стороннего индекса, выполненная Mistral, а не снимок таблицы лидеров. Это не делает цифры ошибочными. Это делает их утверждениями, и демонстрационное видео — ещё одно утверждение в том же ряду.

В позиционировании действительно есть напряжение. Модель, настроенная отказывать в 96,6% вредоносных киберзапросов, одновременно продаётся за способность воспроизводить эксплойты и писать патчи. Ответ Mistral — специализированный вариант для тестирования на проникновение и ред-тиминга, доступ к которому предоставляется после проверки и с договорными ограничениями, разрешающими использование только в отношении принадлежащих заказчику или авторизованных систем. Чекпойнт с открытыми весами — это общая модель с защитными ограничениями, которые хост может настраивать; именно поэтому вопрос двойного назначения следует за весами, а не за API.

Что превратило бы демо в доказательство

Убедительное утверждение о сквозном решении требует шести вещей. Ни одна из них не экзотична; все они отсутствуют в посте.

• Названный CVE или ошибка без публичного отчёта — чтобы читатель мог отличить обнаружение от воспроизведения.

• Уязвимый коммит и пропатченный коммит, чтобы можно было просмотреть дифф.

• Воспроизведение до и после в одной и той же среде, включая неудачный и успешный эксплойт.

• Число ложноположительных результатов: сколько кандидатов агенты выдвинули, прежде чем один прошёл отбор.

• Реальное время и стоимость токенов за весь прогон, а не множитель воспроизведения.

• Независимый повторный запуск, выполненный кем-то, кто не является Mistral.

Опубликуйте их — и довод изменится. А до тех пор честное описание таково: «Mistral продемонстрировала своего агента триажа на публичном баге Django», что является полезной демонстрацией продукта и гораздо более скромным утверждением, чем первое предложение поста.

Запуск этого паттерна на собственной кодовой базе

Открытые веса — это то, что важно для команд безопасности. Mistral выпустила чекпоинт 29 октября 2026 года под Mistral Ecosystem Open-Weight License — модифицированной лицензией MIT, которая разрешает использование, модификацию, дообучение и коммерциализацию, но требует отдельной лицензии для всех, кто ведёт бизнес по модели «модель-как-услуга». Чекпоинт содержит 1,05 трлн параметров, из которых 49 млрд активны на токен, контекст в 1 млн токенов и вариант NVFP4 для GPU Blackwell. Самостоятельный хостинг — это покупка кластера, а не скачивание на ноутбук, но он сохраняет исходный код и результаты внутри вашего периметра — причина, по которой команда безопасности выбрала бы его вместо API.

Рабочий процесс более переносим, чем модель: составить карту кода, сгенерировать возможные дефекты, смоделировать атаку, воспроизвести её в песочнице, исправить, а затем проверить, что эксплойт больше не срабатывает. Слабое звено в каждой реализации — верификатор. Та же модель, которая написала патч, плохо его оценивает; вторая модель из другого семейства, получив diff и воспроизведение, отлавливает значительную долю плохих патчей, которые первая модель будет защищать.

Вот здесь и помогает маршрутизация. Mistral Large 4 отсутствует в каталоге OrcaRouter — он обслуживается через собственный API Mistral и доступен для скачивания при самостоятельном развёртывании — но OrcaRouter ставит более 200 других моделей за одним ключом, совместимым с OpenAI, с наценкой 0% к прайс-листу провайдера, автоматическим переключением при сбоях и DSL маршрутизации, который позволяет включить верификатор «второго мнения» в тот же вызов. Пайплайну триажа не нужно, чтобы одна модель была хороша во всём; ему нужно, чтобы автор патча и его ревьюер были разными, а один ключ — более дешёвый путь к этому, чем два контракта с вендорами.

Утверждение, за которым стоит следить

У Mistral есть составляющие правдоподобного security-продукта: открытые веса, задокументированный цикл триажа, сильные метрики отказов и бенчмарк, который измеряет правильные глаголы. Чего у него нет публично — это случая, когда модель нашла что-то ещё не исправленное. В следующей демонстрации следует назвать баг, опубликовать diff и дать кому-то другому запустить его. До тех пор видео со 133 агентами — демонстрация оркестрации, а не доказательство обнаружения, — и слово «critical» несёт больше нагрузки, чем может подтвердить набор уязвимостей Django.